Microsoft Defender for Endpoint

Wichtig: Auf der Google SecOps-Plattform wird die Integration von Microsoft Defender for Endpoint als Microsoft Defender ATP bezeichnet.

In diesem Dokument wird beschrieben, wie Sie Microsoft Defender for Endpoint in Google SecOps einbinden.

Anwendungsfälle

1. Verwenden Sie die in Microsoft Defender for Endpoint erfassten Daten für Anreicherungen, während Sie einen bestimmten Fall untersuchen.

   Analysten können die in Microsoft Defender for Endpoint erfassten und gespeicherten Daten für Untersuchungen verwenden, z. B. um Informationen zu in Microsoft Defender for Endpoint erkannten Benachrichtigungen abzurufen oder in Microsoft Defender for Endpoint registrierte Computer aufzulisten.

2. Führen Sie aktive Reaktionsmaßnahmen bei potenziellen Sicherheitsvorfällen durch, z. B. das Isolieren eines bestimmten Hosts von einem Netzwerk oder das Ausführen eines Antivirenscans.

3. Überwachen und prüfen Sie die Microsoft Defender for Endpoint-Benachrichtigungen als Google Security Operations-Benachrichtigungen, die vom entsprechenden Connector abgerufen werden.

Vorbereitung

Führen Sie die folgenden erforderlichen Schritte aus, bevor Sie die Integration in der Google SecOps-Plattform konfigurieren:

1. Erstellen Sie die Microsoft Entra-Anwendung.

2. Konfigurieren Sie die API-Berechtigungen für Ihre App.

3. Erstellen Sie einen Clientschlüssel.

Wir empfehlen, beim Zugriff auf die Microsoft Defender for Endpoint API den Anwendungskontext anstelle des Nutzerkontexts zu verwenden.

Microsoft Entra-Anwendung erstellen

1. Melden Sie sich im Azure-Portal als Nutzeradministrator oder Passwortadministrator an.

2. Wählen Sie Microsoft Entra ID aus.

3. Rufen Sie App-Registrierungen > Neue Registrierung auf.

4. Geben Sie den Namen der App ein.

5. Klicken Sie auf Registrieren.

   Hinweis: In diesem Dokument wird eine Einrichtung mit einem einzelnen Mandanten als Beispiel verwendet. Die Weiterleitungs-URL ist für den von der Integration unterstützten OAuth-Ablauf (Clientanmeldedaten) nicht erforderlich.

6. Speichern Sie die Werte für Anwendungs-ID (Client) und Verzeichnis-ID (Mandant), um sie später beim Konfigurieren der Integrationsparameter zu verwenden.

API-Berechtigungen konfigurieren

1. Gehen Sie zu API-Berechtigungen > Berechtigung hinzufügen > Von meiner Organisation verwendete APIs. Das Dialogfeld API-Berechtigungen anfordern wird geöffnet.

2. Geben Sie im Feld Suchen WindowsDefenderATP ein.

3. Wählen Sie WindowsDefenderATP > Anwendungsberechtigungen aus.

4. Wählen Sie unter dem Berechtigungstyp Benachrichtigung die folgende Berechtigung aus:

   • Alert.Read.All

5. Klicken Sie auf Berechtigungen hinzufügen.

6. Klicken Sie auf der Seite API-Berechtigungen auf Berechtigung hinzufügen.

7. Wählen Sie Microsoft Graph > Delegierte Berechtigungen aus.

8. Wählen Sie im Abschnitt Berechtigungen auswählen die folgende erforderliche Berechtigung aus:

   • User.Read

9. Klicken Sie auf Berechtigungen hinzufügen.

10. Klicken Sie auf der Seite API-Berechtigungen auf Berechtigung hinzufügen.

11. Wählen Sie WindowsDefenderATP > Anwendungsberechtigungen aus.

12. Wählen Sie im Abschnitt Berechtigungen auswählen die folgenden erforderlichen Berechtigungen aus:

    • AdvancedQuery.Read.All
    • Alert.Read.All
    • Alert.ReadWrite.All
    • Event.Write
    • File.Read.All
    • Ip.Read.All
    • Machine.Isolate
    • Machine.Read.All
    • Machine.ReadWrite.All
    • Machine.Scan
    • Machine.StopAndQuarantine
    • Ti.ReadWrite
    • Url.Read.All
    • User.Read.All

13. Klicken Sie auf Einwilligung des Administrators für ORGANIZATION_NAME erteilen.

    Wenn das Dialogfeld Bestätigung der Administratoreinwilligung erteilen angezeigt wird, klicken Sie auf Ja.

Hier ist ein Beispiel für eine API-Anfrage zum Abrufen der Defender ATP-Warnungen. Beachten Sie den Parameter $expand, der zum Abrufen von Daten zu IP-Adressen, Domains und Dateien verwendet wird:

GET /api/alerts?$expand=files,ips,domains HTTP/1.1
Host: api.securitycenter.windows.com
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJ...
User-Agent: PostmanRuntime/7.19.0
Accept: */ *
Cache-Control: no-cache
Postman-Token: 2dc0f885-068a-45d4-81a6-2da0d23a58ad,d3dd0e6e-83ab-4d27-94d2-0f3889dff324
Host: api.securitycenter.windows.com
Accept-Encoding: gzip, deflate
Connection: keep-alive
cache-control: no-cache

Weitere Informationen zu den Anfrageparametern und Anfrageoptionen wie „Filter“ oder „Erweitern“ finden Sie in der Microsoft-Dokumentation unter Unterstützte Microsoft Defender for Endpoint-APIs.

Clientschlüssel erstellen

1. Rufen Sie Zertifikate und Secrets > Neuer Clientschlüssel auf.

2. Geben Sie eine Beschreibung für einen Clientschlüssel an und legen Sie ein Ablaufdatum fest.

3. Klicken Sie auf Hinzufügen.

4. Speichern Sie den Wert des Clientschlüssels (nicht die Secret-ID), um ihn beim Konfigurieren der Integration als Parameterwert für Client Secret zu verwenden. Der Clientschlüsselwert wird nur einmal angezeigt.

SIEM-Integration aktivieren – verworfen

Verworfen: Microsoft hat die SIEM-Integration mit Microsoft Defender ATP verworfen.

1. Wählen Sie im Navigationsbereich Einstellungen > SIEM aus.

   Hinweis: Wenn beim Aktivieren der SIEM-Connector-Anwendung ein Fehler auftritt, prüfen Sie die Blockierungseinstellungen Ihres Browsers. Möglicherweise wird das neue Fenster blockiert, das beim Aktivieren der Funktion geöffnet wird.

2. Wählen Sie SIEM-Integration aktivieren aus.

Dadurch wird der Abschnitt mit den Zugriffsdetails für den SIEM-Connector mit vorab ausgefüllten Werten aktiviert und eine Anwendung wird unter Ihrem Azure AD-Mandanten erstellt.

Warnung: Der Clientschlüssel wird nur einmal angezeigt. Bewahren Sie eine Kopie davon an einem sicheren Ort auf.

• Wählen Sie als SIEM-Typ „Generische API“ aus.
• Kopieren Sie die einzelnen Werte oder wählen Sie „Details in Datei speichern“ aus, um eine Datei mit allen Werten herunterzuladen.
• Sie benötigen die auf dieser Seite angezeigten Werte, um ein Token für den Zugriff auf die Erkennungsdaten zu generieren: Client-ID, Clientschlüssel, Ressource.

Microsoft Defender for Endpoint in Google SecOps einbinden

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Wichtig: Wenn Sie nach der Konfiguration dieser Integration Änderungen an den Anwendungsberechtigungen oder API-Berechtigungen in Ihrer Microsoft Entra ID-App-Registrierung (Azure AD) vornehmen (z. B. eine neue Berechtigung für die Ausführung eines Jobs hinzufügen), müssen Sie Ihre Anmeldedaten in Google SecOps neu generieren und aktualisieren.

Das bedeutet in der Regel Folgendes:

• Generieren Sie einen neuen Clientschlüssel in Ihrer App-Registrierung.
• Aktualisieren Sie den Clientschlüssel (und generieren Sie gegebenenfalls das Aktualisierungstoken neu) in der Google SecOps-Integrationskonfiguration.

Wenn Sie die Aktualisierung nicht vornehmen, können neue Berechtigungen nicht angewendet werden, was zu Fehlern bei Aktionen führt.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parameter
Client ID	Erforderlich Client-ID (Anwendungs-ID) der Microsoft Entra-Anwendung, die für die Integration verwendet werden soll.
Client Secret	Erforderlich Clientschlüsselwert der Microsoft Entra-Anwendung, die für die Integration verwendet werden soll.
Azure Active Directory ID	Erforderlich Microsoft Entra ID-Wert (Mandanten-ID).
Verify SSL	Optional Wenn diese Option ausgewählt ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Microsoft 365 Defender-Server gültig ist. Standardmäßig ausgewählt.
API Root	Erforderlich API-Stamm-URL, die mit der Integration verwendet werden soll. Für eine bessere Leistung können Sie einen Server verwenden, der sich am nächsten zu Ihrem Standort befindet: api-us.securitycenter.windows.com api-eu.securitycenter.windows.com api-uk.securitycenter.windows.com Der Standardwert ist https://api.securitycenter.windows.com.

Aktionen

Entitätsindikatoren löschen

Entitätsindikatoren in Microsoft Defender for Endpoint löschen.

Hinweis: Es werden nur die Hashes MD5, SHA-1 und SHA256 unterstützt.

Parameter

–

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• URL
• Filehash

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn der Statuscode 204 gemeldet wird (is_success=true): „Die folgenden Entitäten wurden erfolgreich als Indikatoren in Microsoft Defender for Endpoint gelöscht: {entity.identifier}. Wenn der Vorfall nicht gefunden wird (is_success=true): „Die folgenden Entitäten sind in Microsoft Defender for Endpoint nicht als Indikatoren vorhanden: {entity.identifier}. Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden: Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitätsindikatoren löschen‘. Reason: {0}''.format(error.Stacktrace)	Allgemein

Entitäten anreichern

Google SecOps-Host-, IP-Adress- oder Dateihash-Entitäten basierend auf den Informationen aus Microsoft Defender for Endpoint anreichern.

Parameter

–

Anwendungsfälle

Die Aktion kann in Playbooks verwendet werden, mit denen Aktivitäten auf Geräten untersucht werden. Wenn auf dem Gerät der Microsoft Defender for Endpoint-Agent installiert ist, werden mit der Aktion Informationen von Defender ATP auf einem Gerät abgerufen, um Google SecOps-Entitäten anzureichern. Die Aktion kann auch verwendet werden, um die Dateihashes der Benachrichtigung mit den Informationen aus Defender ATP anzureichern.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Host
• IP-Adresse
• Filehash

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

Wenn die Anreicherung auf der IP-Adresse oder dem Host basiert:

[
    {
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines/$entity",
            "id": "example_id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-24T18:31:50.581058Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.138",
            "lastExternalIpAddress": "203.0.113.28",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    }
]

Wenn die Anreicherung für Filehash funktioniert:

[
    {
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Files/$entity",
            "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
            "sha256": "328954033456d5c13e58fb5bcc6c0232f9f62cb6d9185afa51c7913338992491",
            "md5": "9512e1cc66a1d36feb0a290cab09087b",
            "globalPrevalence": 5205000,
            "globalFirstObserved": "2018-06-22T12:59:21.6460311Z",
            "globalLastObserved": "2019-11-21T00:24:01.921338Z",
            "size": 245760,
            "fileType": "APP",
            "isPeFile": true,
            "filePublisher": "Microsoft Corporation",
            "fileProductName": "Microsoft Windows Operating System",
            "signer": "Microsoft Windows",
            "issuer": "Microsoft Windows Production PCA 2011",
            "signerHash": "419e77aed546a1a6cf4dc23c1f977542fe289cf7",
            "isValidCertificate": true
            },
        "EntityResult": {
            "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#microsoft.windowsDefenderATP.api.InOrgFileStats",
            "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
            "orgPrevalence": "1",
            "orgFirstSeen": "2019-11-19T03:54:15Z",
            "orgLastSeen": "2019-11-19T04:21:18Z",
            "globalPrevalence": "5205000",
            "globalFirstObserved": "2018-06-22T12:59:21.6460311Z",
            "globalLastObserved": "2019-11-21T00:24:01.921338Z",
            "topFileNames": ["notepad.exe"]
        }
    }
]

Entitätsanreicherung

IP und Host

Name des Anreicherungsfelds	Logik – Wann anwenden?
Defender_ATP.sha1	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.sha256	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.md5	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.globalPrevalence	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.globalFirstObserved	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.globalLastObserved	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.size	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.fileType	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.isPeFile	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.filePublisher	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.fileProductName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.signer	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.issuer	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.signerHash	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.isValidCertificate	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.orgPrevalence	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.orgFirstSeen	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.orgLastSeen	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.topFileNames	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Datei-Hash

Name des Anreicherungsfelds	Logik – Wann anwenden?
Defender_ATP.sha1	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.sha256	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.md5	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.globalPrevalence	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.globalFirstObserved	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.globalLastObserved	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.size	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.fileType	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.isPeFile	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.filePublisher	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.fileProductName	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.signer	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.issuer	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.signerHash	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.isValidCertificate	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.orgPrevalence	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.orgFirstSeen	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.orgLastSeen	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden
Defender_ATP.topFileNames	Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden

Live Response-Befehl ausführen

Verwenden Sie die Aktion Live Response-Befehl ausführen, um einen Live Response-Befehl in Microsoft Defender for Endpoint auszuführen.

Hinweis: Dies ist eine asynchrone Aktion. Achten Sie darauf, dass der Zeitüberschreitungswert für das Skript in der Google SecOps-IDE so angepasst ist, dass der Befehl abgeschlossen werden kann.

Aktionseingaben

Für die Aktion Live Response-Befehl ausführen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Command	Erforderlich. Ein JSON-Objekt, das den auszuführenden Befehl darstellt, einschließlich Typ und Parametern. Weitere Informationen zu unterstützten Befehlsstrukturen finden Sie in der API-Dokumentation zu Microsoft Defender for Endpoint. Beispielformat: { "type": "Command", "params": [ { "key": "string", "value": "string" } ] }
Comment	Optional. Ein Kommentar oder eine Beschreibung für den ausgeführten Befehl.

Aktionsausgaben

Die Aktion Live Response-Befehl ausführen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle im Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Live Response-Befehl ausführen empfangen wird:

{
   "Entity": "",
   "EntityResult": {
       "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#MachineActions/$entity",
       "id": "00000000-0000-0000-0000-000000000000",
       "type": "LiveResponse",
       "title": null,
       "requestor": "SEC_OPS_USER",
       "requestorComment": "Execution of live response command",
       "status": "Pending",
       "machineId": "MACHINE_ID_HASH",
       "computerDnsName": "hostname.domain.local",
       "creationDateTimeUtc": "2026-01-04T10:57:33.032Z",
       "lastUpdateDateTimeUtc": "2026-01-04T10:57:33.032Z",
       "cancellationRequestor": null,
       "cancellationComment": null,
       "cancellationDateTimeUtc": null,
       "errorHResult": 0,
       "scope": null,
       "externalId": null,
       "requestSource": "PublicApi",
       "relatedFileInfo": null,
       "commands": [],
       "troubleshootInfo": null,
       "results": {
           "filepath": "",
           "script_name": "remediation_script.ps1",
           "exit_code": 0,
           "script_output": "Script completed successfully",
           "script_errors": ""
       }
   }
}

Ausgabenachrichten

Die Aktion Live Response-Befehl ausführen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully executed command on the following endpoints in Microsoft Defender for Endpoint: ENTITY_ID.	Die Aktion war erfolgreich.
The command didn't complete for the following endpoints in Microsoft Defender for Endpoint: ENTITY_ID. The scan didn't complete for all of the provided endpoints in Microsoft Defender for Endpoint. Error executing action "Execute Live Response Command". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Live Response-Befehl ausführen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Aktuellen Aufgabenstatus abrufen

Aktuellen Status einer Aufgabe abrufen.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Aufgaben-IDs	String	–	Ja	Liste der Aufgaben-IDs als kommagetrennter String.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "status": "Succeeded",
        "creation_date_time_utc": "2020-02-08T03:24:52.8526634Z",
        "cancellation_requestor": null,
        "cancellation_date_time_utc": null,
        "id": "2e39d22e-60a7-4267-899c-a1471e800000",
        "last_update_date_time_utc": "2020-02-08T03:25:35.8345081Z",
        "related_file_info": null,
        "cancellation_comment": null,
        "requestor": "e4fc6454-754d-47f7-bbdb-045fad600000",
        "error_h_result": 0,
        "scope": "Selective",
        "machine_id": "fbc85cf3fbcc8bb14d1a84fcf7bbae4531f00000",
        "type": "Isolate",
        "requestor_comment": "test"
    }
]

Benachrichtigungen zu Dateien erhalten

Benachrichtigungen zu einer Datei von Microsoft Defender for Endpoint basierend auf dem Datei-Hash abrufen.

Parameter

Parameter-Anzeigewert	Typ	Standardwert	Ist obligatorisch	Beschreibung
Status	String	Unknown, New, InProgress, Resolved	Nein	Geben Sie die Status der Meldungen an, nach denen gesucht werden soll. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Schweregrad	String	UnSpecified, Informational, Low, Medium, High	NEIN	Geben Sie die Schweregrade der Vorfälle an, nach denen gesucht werden soll. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Kategorie	String	–	Nein	Geben Sie die gesuchte Benachrichtigungskategorie an. Wenn keine angegeben ist, sucht die Aktion nach allen Kategorien. Der Parameter akzeptiert mehrere Werte als kommagetrennten String. Mögliche Werte: „Collection“, „CommandAndControl“, „CredentialAccess“, „DefenseEvasion“, „Discovery“, „Execution“, „Exfiltration“, „Exploit“, „InitialAccess“, „LateralMovement“, „Malware“, „Persistence“, „PrivilegeEscalation“, „Ransomware“, „SuspiciousActivity“, „UnwantedSoftware“.
Vorfall-ID	Ganzzahl	–	Nein	Geben Sie die Microsoft Defender-Vorfalls-ID an, für die Sie zugehörige Benachrichtigungen finden möchten.

‌Anwendungsfälle

Wenn Sie eine Benachrichtigung vom Defender ATP-Connector untersuchen, können Sie mit dieser Aktion Informationen dazu erfassen, ob diese Datei mit Benachrichtigungen verknüpft ist, um herauszufinden, ob die Datei schädlich ist oder nicht.

Ausführen am

Diese Aktion wird für die Entität „Filehash“ ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example_id",
            "incidentId": 2,
            "investigationId": 1,
            "assignedTo": null,
            "severity": "Medium",
            "status": "New",
            "classification": null,
            "determination": null,
            "investigationState": "TerminatedBySystem",
            "detectionSource": "WindowsDefenderAtp",
            "category": "DefenseEvasion",
            "threatFamilyName": null,
            "title": "Suspicious process injection observed",
            "description": "A process abnormally injected code into another process, As a result, unexpected code may be running in the target process memory. Injection is often used to hide malicious code execution within a trusted process. \nAs a result, the target process may exhibit abnormal behaviors such as opening a listening port or connecting to a command and control server.",
            "alertCreationTime": "2019-11-19T03:56:37.7335862Z",
            "firstEventTime": "2019-11-19T03:54:15.7698362Z",
            "lastEventTime": "2019-11-19T03:54:15.7698362Z",
            "lastUpdateTime": "2019-11-20T10:13:31.7266667Z",
            "resolvedTime": null,
            "machineId": "machine-id",
            "alertUser": {
                "accountName": "example.user",
                "domainName": "EXAMPLELAB"
            },
            "comments": [],
            "alertFiles": [
                {
                    "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
                    "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
                    "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                    "fileName": "powershell.exe"
                },{
                    "sha1": "bdd0d38e113a0c7dd6213cf2e89e6cc6d66b5cdb",
                    "sha256": "328954033456d5c13e58fb5bcc6c0232f9f62cb6d9185afa51c7913338992491",
                    "filePath": "C:\\Windows\\System32\\notepad.exe",
                    "fileName": "notepad.exe"
                }
            ],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
        }
    ]
}

Mit Datei verknüpfte Maschinen abrufen

Ruft Computer ab, die mit einer Datei aus Microsoft Defender for Endpoint verknüpft sind, basierend auf dem Datei-Hash.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Name der Maschine	String	–	Nein	Geben Sie den vollständigen Computernamen an, nach dem gesucht werden soll.
IP-Adresse der Maschine	String	–	Nein	Geben Sie die IP-Adresse des Computers an, nach dem gesucht werden soll.
Risikobewertung für Maschinen	String	–	Nein	Geben Sie den gesuchten Maschinenrisiko-Score an. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Maschinenstatus	String	Active, Inactive, ImpairedCommunication, NoSensorData, NoSensorDataImpairedCommunication	Nein	Geben Sie den gesuchten Maschinenstatus an. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Betriebssystemplattform der Maschine	String	–	Nein	Geben Sie die Betriebssystemplattform der Maschine an, nach der gesucht werden soll.
RBAC-Gruppen-ID	String	–	Nein	Geben Sie die RBAC-Gruppen-ID an, nach der gesucht werden soll.

Anwendungsfälle

Wenn Sie eine Benachrichtigung vom Defender ATP-Connector untersuchen, können Sie mit dieser Aktion Informationen darüber erfassen, auf welchen Computern diese Datei in Defender ATP registriert wurde.

Ausführen am

Diese Aktion wird für die Entität „Filehash“ ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines",
    "value": [
        {
            "id": "example_id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-20T19:35:36.4619266Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.1",
            "lastExternalIpAddress": "203.0.113.121",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    ]
}

Maschinenprotokoll zu Nutzern abrufen

Informationen zur Anmeldung eines Nutzers auf einem bestimmten Computer abrufen.

Parameter

–

Anwendungsfälle

Die Aktion kann für Untersuchungszwecke verwendet werden, um vom Defender ATP-Server spezifische Details darüber zu erhalten, welche Nutzer sich auf einem bestimmten Computer anmelden.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Host
• IP-Adresse

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Users",
    "value": [
        {
            "id": "example\\example.user",
            "accountName": "example.user",
            "accountDomain": "example",
            "accountSid": null,
            "firstSeen": "2019-11-19T03:50:36Z",
            "lastSeen": "2019-11-19T03:50:36Z",
            "mostPrevalentMachineId": null,
            "leastPrevalentMachineId": null,
            "logonTypes": "Interactive",
            "logOnMachinesCount": 1,
            "isDomainAdmin": false,
            "isOnlyNetworkUser": null
        }
    ]
}

Maschinenempfehlungen erhalten

Verwenden Sie die Aktion Get Machine Recommendations, um eine Liste der Sicherheitsempfehlungen für bestimmte Computer in Microsoft Defender for Endpoint abzurufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Hostname

• IP Address

Aktionseingaben

Für die Aktion Maschinenempfehlungen abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Max Recommendations To Return	Erforderlich. Die maximale Anzahl von Empfehlungen, die für jede Entität abgerufen werden sollen. Der Höchstwert ist 100. Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Maschinenempfehlungen abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle im Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Maschinenempfehlungen abrufen verwenden:

{
   "Entity": "",
   "EntityResult": [
         {
            "id": "va-_-7-zip-_-7-zip",
            "productName": "7-zip",
            "recommendationName": "Update 7-zip to version 25.01.0.0",
            "weaknesses": 12,
            "vendor": "7-zip",
            "recommendedVersion": "25.01.0.0",
            "recommendedVendor": "",
            "recommendedProgram": "",
            "recommendationCategory": "Application",
            "subCategory": "",
            "severityScore": 0.0,
            "publicExploit": true,
            "activeAlert": false,
            "associatedThreats": [],
            "remediationType": "Update",
            "status": "Active",
            "configScoreImpact": 0.0,
            "exposureImpact": 0.0,
            "totalMachineCount": 0,
            "exposedMachinesCount": 1,
            "nonProductivityImpactedAssets": 0,
            "relatedComponent": "7-zip",
            "hasUnpatchableCve": false,
            "tags": [],
            "exposedCriticalDevices": 0
        }
   ]
}

Ausgabenachrichten

Die Aktion Maschinenempfehlungen abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned recommendations for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. No recommendations were found for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. No recommendations were found for the provided endpoints in Microsoft Defender for Endpoint.	Die Aktion war erfolgreich.
Error executing action "Get Machine Recommendations". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn Sie die Aktion Maschinenempfehlungen abrufen verwenden:

Name des Skriptergebnisses	Wert
is_success	true oder false

Maschinenbezogene Warnungen erhalten

Benachrichtigungen zu bestimmten Computern erhalten, die in Defender ATP registriert sind.

Parameter

Parameter	Typ	Standardwert	Ist obligatorisch	Beschreibung
Status	String	Unknown, New, InProgress, Resolved	Nein	Geben Sie die Status der Meldungen an, nach denen gesucht werden soll. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Schweregrad	String	UnSpecified, Informational, Low, Medium, High	Nein	Geben Sie die Schweregrade der Vorfälle an, nach denen gesucht werden soll. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Kategorie	String	–	Nein	Geben Sie die gesuchte Benachrichtigungskategorie an. Wenn keine angegeben ist, sucht die Aktion nach allen Kategorien. Der Parameter akzeptiert mehrere Werte als kommagetrennten String. Mögliche Werte: „Collection“, „CommandAndControl“, „CredentialAccess“, „DefenseEvasion“, „Discovery“, „Execution“, „Exfiltration“, „Exploit“, „InitialAccess“, „LateralMovement“, „Malware“, „Persistence“, „PrivilegeEscalation“, „Ransomware“, „SuspiciousActivity“, „UnwantedSoftware“.
Vorfall-ID	Ganzzahl	–	Nein	Geben Sie die Microsoft Defender-Vorfalls-ID an, für die Sie zugehörige Benachrichtigungen finden möchten.

Anwendungsfälle

Die Aktion kann für Prüfzwecke verwendet werden, um Benachrichtigungen zu einem bestimmten Computer vom Defender ATP-Server abzurufen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Host
• IP-Adresse

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example-id",
            "incidentId": 1,
            "investigationId": null,
            "assignedTo": "[e-mail]",
            "severity": "Informational",
            "status": "Resolved",
            "classification": "FalsePositive",
            "determination": "SecurityTesting",
            "investigationState": "UnsupportedAlertType",
            "detectionSource": "WindowsDefenderAtp",
            "category": "Execution",
            "threatFamilyName": null,
            "title": "[Test Alert] Suspicious Powershell commandline",
            "description": "*** This is a test alert ***\nA suspicious Powershell commandline was found on the machine. This commandline might be used during installation, exploration, or in some cases with lateral movement activities which are used by attackers to invoke modules, download external payloads, and get more information about the system. Attackers usually use Powershell to bypass security protection mechanisms by executing their payload in memory without touching the disk and leaving any trace.",
            "alertCreationTime": "2019-11-18T11:17:48.287421Z",
            "firstEventTime": "2019-11-18T11:15:06.5226815Z",
            "lastEventTime": "2019-11-18T11:15:06.5226815Z",
            "lastUpdateTime": "2019-11-20T04:12:03.91Z",
            "resolvedTime": "2019-11-20T04:12:03.4976288Z",
            "machineId": "machine-id",
            "alertUser": {
                "accountName": "Administrator",
                "domainName": "US-LT-V13007"
            },
            "comments": [],
            "alertFiles": [
                {
                    "sha1": "3ce71813199abae99348f61f0caa34e2574f831c",
                    "sha256": "9a7c58bd98d70631aa1473f7b57b426db367d72429a5455b433a05ee251f3236",
                    "filePath": "C:\\Windows\\System32\\cmd.exe",
                    "fileName": "cmd.exe"
                },
                {
                    "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
                    "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
                    "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
                    "fileName": "powershell.exe"
                }
            ],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
        }
    ]
}

Sicherheitslücken von Maschinen abrufen

Verwenden Sie die Aktion Get Machine Vulnerabilities, um Sicherheitslücken aufzulisten, die mit bestimmten Maschinen in Microsoft Defender for Endpoint verknüpft sind.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

• Hostname

• IP Address

Aktionseingaben

Für die Aktion Maschinenschwachstellen abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Severity Filter	Optional. Die Schweregrade, die zum Filtern der zurückgegebenen Sicherheitslücken verwendet werden. Folgende Werte sind möglich: Critical High Medium Low Der Standardwert ist Critical.
Threat Filter	Optional. Die Threat Intelligence-Kriterien, die zum Filtern der zurückgegebenen Sicherheitslücken verwendet werden. Folgende Werte sind möglich: Associated Active Alert Exploit is available Exploit is verified This exploit is part of an exploit kit
Sort By	Optional. Das Feld, das zum Sortieren der zurückgegebenen Sicherheitslücken verwendet wird. Folgende Werte sind möglich: First Detection Time Severity Update Time Der Standardwert ist Severity.
Sort Order	Optional. Die Reihenfolge, in der die sortierten Ergebnisse angezeigt werden. Folgende Werte sind möglich: ASC DESC Der Standardwert ist ASC.
Max Vulnerabilities To Return	Erforderlich. Die maximale Anzahl von Sicherheitslücken, die für jede Entität zurückgegeben werden sollen. Der Höchstwert ist 100. Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Get Machine Vulnerabilities liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle im Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Maschinenschwachstellen abrufen erhalten:

{
   "Entity": "",
   "EntityResult": [
       {
           "@odata.type": "#microsoft.windowsDefenderATP.api.PublicVulnerabilityDto",
           "id": "CVE-2025-21266",
           "name": "CVE-2025-21266",
           "description": "Summary: The Windows Telephony Service in Microsoft Windows is vulnerable to remote code execution. An attacker can exploit this vulnerability by tricking a user into visiting a malicious website, which would allow them to execute arbitrary code on the system. Impact: If successfully exploited, this vulnerability could allow an attacker to execute arbitrary code on the affected system. This could lead to a complete compromise of the system, enabling the attacker to gain unauthorized access, steal sensitive information, or perform other malicious activities. Remediation: Apply the latest patches and updates provided by the respective vendors. Generated by AI",
           "severity": "High",
           "cvssV3": 8.8,
           "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C",
           "exposedMachines": 1,
           "publishedOn": "2025-01-14T08:00:00Z",
           "updatedOn": "2025-09-09T23:45:43.5Z",
           "firstDetected": "2025-01-14T18:31:29Z",
           "patchFirstAvailable": null,
           "publicExploit": false,
           "exploitVerified": false,
           "exploitInKit": false,
           "exploitTypes": [],
           "exploitUris": [],
           "cveSupportability": "Supported",
           "tags": [],
           "epss": 0.01391,
           "status": "RemediationRequired"
       }
   ]
}

Ausgabenachrichten

Die Aktion Maschinenschwachstellen abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned vulnerabilities for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. The action wasn't able to return vulnerabilities for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. The action wasn't able to return vulnerabilities for the provided endpoints in Microsoft Defender for Endpoint. No vulnerabilities were found for the following endpoints in Microsoft Defender for Endpoint: ENTITY_IDS. No vulnerabilities were found for the provided endpoints in Microsoft Defender for Endpoint.	Die Aktion war erfolgreich.
Error executing action "Get Machine Vulnerabilities". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn Sie die Aktion Maschinenschwachstellen abrufen verwenden:

Name des Skriptergebnisses	Wert
is_success	true oder false

Benachrichtigungen zu Nutzern abrufen

Mit der Aktion Nutzerbezogene Benachrichtigungen abrufen können Sie Benachrichtigungen auflisten, die mit bestimmten Nutzern in Microsoft Defender for Endpoint verknüpft sind.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Nutzerbezogene Benachrichtigungen abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Max Alerts To Return	Erforderlich. Die maximale Anzahl von Benachrichtigungen, die für jeden Nutzer abgerufen werden sollen. Der Höchstwert ist 100. Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Nutzerbezogene Benachrichtigungen abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle im Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Get User Related Alerts erhalten:

[
    {
        "Entity": "[e-mail]",
        "EntityResult": [
            {
                "id": "da06788650-4d45-4dcf-ae23-d1071ad426ec_1",
                "incident_id": 864492,
                "investigation_id": 1778,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active '' malware ",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-02-27T06:58:08.1366667Z",
                "first_event_time": "2026-02-27T06:55:51.021546Z",
                "last_event_time": "2026-02-27T06:55:51.021546Z",
                "last_update_time": "2026-02-27T07:13:46.2333333Z",
                "resolved_time": "2026-02-27T07:13:44.3513463Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0b1f334d-b5e5-4618-8a2a-d3675e62a93b_1",
                "incident_id": 864492,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "New",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2026-02-27T06:58:38.5533333Z",
                "first_event_time": "2026-02-27T06:55:32.6699867Z",
                "last_event_time": "2026-03-05T07:24:52.7415066Z",
                "last_update_time": "2026-03-05T07:28:04.67Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0cfbb355-b5a5-43a5-adb6-d0879d0b0917_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "[e-mail]",
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious behavior by cmd.exe was observed",
                "description": "A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.",
                "alert_creation_time": "2025-10-13T10:26:21.3333333Z",
                "first_event_time": "2025-10-13T10:23:58.1472359Z",
                "last_event_time": "2025-10-13T10:25:22.714708Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 13 Oct 25 | 10:26 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da0cfbb355-b5a5-43a5-adb6-d0879d0b0917_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-13T10:40:32.4733451Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da0e3de096-1789-43ff-bb2e-6cc22e5037ad_1",
                "incident_id": 864492,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "New",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "DefenseEvasion",
                "threat_family_name": null,
                "title": "Suspicious registry modification",
                "description": "A suspicious process modified the registry on this device. Registry entries can be added, modified, or removed to change various settings of the system or behavior of a program. Attackers leverage this technique to gain persistence, escalate privileges, launch malicious codes, or to tamper with security products.",
                "alert_creation_time": "2026-02-27T06:58:38.7266667Z",
                "first_event_time": "2026-02-27T06:56:11.3416006Z",
                "last_event_time": "2026-03-05T07:25:30.6007486Z",
                "last_update_time": "2026-03-05T07:28:07.39Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da13c4af0a-bd35-4cb2-a556-fa972f3b80da_1",
                "incident_id": 864492,
                "investigation_id": 1779,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active '' malware ",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-03-02T07:26:21.22Z",
                "first_event_time": "2026-03-02T07:25:05.4166175Z",
                "last_event_time": "2026-03-02T07:25:05.4166175Z",
                "last_update_time": "2026-03-02T07:37:19.2666667Z",
                "resolved_time": "2026-03-02T07:37:19.1231428Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2052972f-7cc3-42c8-8abf-8ac490d63c35_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "[e-mail]",
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious behavior by cmd.exe was observed",
                "description": "A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.",
                "alert_creation_time": "2025-10-07T10:25:41.1666667Z",
                "first_event_time": "2025-10-07T10:23:44.5677721Z",
                "last_event_time": "2025-10-07T10:25:10.6581007Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\ud83e\udde8 Generic Threat - APTSimulator_schedu... - Not Mitigated - Escalated\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 07 Oct 25 | 10:25 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Isolation, Stop and Quarantine File, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis)\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2052972f-7cc3-42c8-8abf-8ac490d63c35_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-07T10:27:41.3867936Z"
                    },
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage (\ud83d\udca1Triage updated \u2192 Risk Deescalated)\n===================================\n\u26a0\ufe0f Suspicious - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious behavior by cmd.exe was observed\n- Source: Microsoft Defender for Endpoint\n- Creation time: 07 Oct 25 | 10:25 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious behavior by cmd.exe was observed. This behavior may indicate malware installation or other malicious activities on the machine.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: MMC [T1218.014]\n  * Execution: Windows Command Shell [T1059.003]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n- Malicious files: APTSimulator_scheduler.bat\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2052972f-7cc3-42c8-8abf-8ac490d63c35_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-07T10:32:21.417826Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2068d331-0335-4479-9f96-e8f33db81aa9_1",
                "incident_id": 864492,
                "investigation_id": 1780,
                "assigned_to": "API-Automated Investigation and Response",
                "severity": "Low",
                "status": "Resolved",
                "classification": null,
                "determination": null,
                "investigation_state": "Benign",
                "detection_source": "WindowsDefenderAv",
                "category": "Malware",
                "threat_family_name": "Ceprolad",
                "title": "An active 'Ceprolad' malware in a command line was prevented from executing",
                "description": "Malware and unwanted software are undesirable applications that perform annoying, disruptive, or harmful actions on affected machines. Some of these undesirable applications can replicate and spread from one machine to another. Others are able to receive commands from remote attackers and perform activities associated with cyber attacks.\n\nA malware is considered active if it is found running on the machine or it already has persistence mechanisms in place. Active malware detections are assigned higher severity ratings.\n\nBecause this malware was active, take precautionary measures and check for residual signs of infection.",
                "alert_creation_time": "2026-03-05T07:26:09.89Z",
                "first_event_time": "2026-03-05T07:25:08.6889036Z",
                "last_event_time": "2026-03-05T07:25:08.6889036Z",
                "last_update_time": "2026-03-05T07:37:44.9066667Z",
                "resolved_time": "2026-03-05T07:37:44.65021Z",
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da29243e25-be1e-47b7-9d40-e626df36345c_1",
                "incident_id": 688299,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Medium",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Persistence",
                "threat_family_name": null,
                "title": "New group added suspiciously",
                "description": "A new group was added after suspicious activities were detected. An attacker might add new users to the group in an attempt to gain a better foothold on the machine or network.",
                "alert_creation_time": "2025-09-18T14:59:47.52Z",
                "first_event_time": "2025-09-18T14:53:30.7348596Z",
                "last_event_time": "2025-09-21T14:53:43.8093531Z",
                "last_update_time": "2025-09-21T14:56:44.5166667Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - APTSimulator_schedu... - Not Mitigated - Follow Up Required\n===================================\n\n- Title: New group added suspiciously\n- Source: Microsoft Defender for Endpoint\n- Creation time: 18 Sep 25 | 14:59 UTC\n- External severity: Medium\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A new group was added after suspicious activities were detected. An attacker might add new users to the group in an attempt to gain a better foothold on the machine or network.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Discovery: Local Groups [T1069.001]\n  * Persistence: Account Manipulation [T1098]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da29243e25-be1e-47b7-9d40-e626df36345c_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-09-18T15:03:43.2796289Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da2be6df1c-2401-4545-8111-5f75d0fd0223_1",
                "incident_id": 690846,
                "investigation_id": null,
                "assigned_to": "[e-mail]",
                "severity": "Low",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2025-10-01T10:26:20.6566667Z",
                "first_event_time": "2025-10-01T10:24:19.1071611Z",
                "last_event_time": "2025-10-07T10:24:27.1065475Z",
                "last_update_time": "2026-02-13T08:14:22.61Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - en-US.js - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious JavaScript process\n- Source: Microsoft Defender for Endpoint\n- Creation time: 01 Oct 25 | 10:26 UTC\n- External severity: Low\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: Indicator Removal on Host [T1070]\n  * Defense Evasion: Indicator Removal on Host: Timestomp [T1070.006]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da2be6df1c-2401-4545-8111-5f75d0fd0223_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-10-01T10:30:36.462226Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            },
            {
                "id": "da37252b75-0446-4a7b-99b4-e64886557bd3_1",
                "incident_id": 688299,
                "investigation_id": null,
                "assigned_to": null,
                "severity": "Low",
                "status": "InProgress",
                "classification": null,
                "determination": null,
                "investigation_state": "UnsupportedAlertType",
                "detection_source": "WindowsDefenderAtp",
                "category": "Execution",
                "threat_family_name": null,
                "title": "Suspicious JavaScript process",
                "description": "A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.",
                "alert_creation_time": "2025-09-18T14:59:46.57Z",
                "first_event_time": "2025-09-18T14:54:11.4061419Z",
                "last_event_time": "2025-09-21T14:54:00.575478Z",
                "last_update_time": "2025-09-21T14:56:36.6533333Z",
                "resolved_time": null,
                "machine_id": "4f683b2d393afc3149b0de4149acc5449acdf07e",
                "alert_user": null,
                "alert_files": [],
                "comments": [
                    {
                        "comment": "\ud83d\udfe6 Intezer Automated Triage\n===================================\n\u26a0\ufe0f Suspicious - wscript.exe - Not Mitigated - Follow Up Required\n===================================\n\n- Title: Suspicious JavaScript process\n- Source: Microsoft Defender for Endpoint\n- Creation time: 18 Sep 25 | 14:59 UTC\n- External severity: Low\n- Hosts: \n  * workstation-01 (Windows10)\n- Description: A suspicious JavaScript process was observed on this device. Attackers typically use JavaScript to download secondary payloads, run additional commands, and perform other malicious activities on the target device.\n- TTPs:\n  * Command and Control: Application Layer Protocol [T1071]\n  * Defense Evasion: Indicator Removal on Host [T1070]\n  * Defense Evasion: Indicator Removal on Host: Timestomp [T1070.006]\n- Recommended actions: Ensure Device is Patched, Run Intezer Endpoint Scan (https://docs.intezer.com/docs/live-endpoint-analysis), Validate Activity with User\n\nView alert: \ud83d\udc49 https://analyze.intezer.com/alerts/da37252b75-0446-4a7b-99b4-e64886557bd3_1?environment=mde",
                        "createdBy": "API Action",
                        "createdTime": "2025-09-18T15:06:13.2743521Z"
                    }
                ],
                "alert_domains": null,
                "alert_ips": null,
                "alert_processes": null
            }
        ]
    }
]

Ausgabenachrichten

Die Aktion Nutzerbezogene Benachrichtigungen abrufen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully returned alerts related to the following users in Microsoft Defender for Endpoint: ENTITY_IDS. No alerts were related to the following users in Microsoft Defender for Endpoint: ENTITY_IDS. No alerts were related to the provided users in Microsoft Defender for Endpoint.	Die Aktion war erfolgreich.
Error executing action "Get User Related Alerts". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Get User Related Alerts verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Maschine isolieren

Isolieren Sie einen Computer mit Microsoft Defender for Endpoint. Die Maschine kann auf vollständige oder selektive Isolierung eingestellt werden. Outlook-, Skype for Business- und Teams-Anwendungen funktionieren weiterhin auf einem isolierten Computer.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Isolationstyp	DDL	Vollständig Mögliche Werte: Vollständig Selektiv	Ja	Geben Sie den Isolationstyp an.
Kommentar	String	–	Ja	Geben Sie einen Kommentar dazu an, warum die Maschine isoliert werden muss.
Insight erstellen?	Kästchen	Aktiviert		Wenn diese Option aktiviert ist, wird bei erfolgreicher Ausführung der Aktion ein Google SecOps-Insight mit zugehörigen Informationen erstellt.

Anwendungsfälle

Isolieren Sie einen Computer, der als infiziert gilt. Beispiel: Eine Defender ATP-Connector-Benachrichtigung wurde in den Google SecOps-Server aufgenommen. Bei einer Benachrichtigungsanalyse wurde festgestellt, dass die mit der Benachrichtigung verknüpfte Maschine (Fallentität) infiziert sein könnte und isoliert werden muss.

Ausführen am

Diese Aktion wird für die folgenden Aktionen ausgeführt:

• Host
• IP-Adresse

Aktionsergebnisse

Scriptergebnis

„True“, wenn der API-Endpunkt für jede bereitgestellte Entität, für die er ausgeführt wurde, den Status 201 in der JSON-Antwort „status“: „Pending“ zurückgegeben hat. Das bedeutet, dass die API-Anfrage erfolgreich ausgeführt wurde. Wenn die Aktion für mindestens eine der Entitäten fehlschlägt, sollte das Endergebnis „Fehlgeschlagen“ (False) sein.

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "Isolate",
    "requestor": "requestor-id",
    "requestorComment": "Machine Isolation due to alert ...",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T03:55:59.5419077Z",
    "lastUpdateDateTimeUtc": "2019-11-21T03:55:59.5419077Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}

Statistiken

• Insight-Logik: Wenn der Computer mit dem Defender ATP-Agent isoliert wurde, wird ein Insight erstellt, um dies anzugeben.
• Typ: Entität.
• Titel (String): Entität.
• IdentifierMessage: „Host was isolated using Microsoft Defender for Endpoint.“

Benachrichtigungen auflisten

Microsoft Defender for Endpoint-Benachrichtigungen basierend auf den angegebenen Suchkriterien auflisten. Die Aktion gibt Informationen zu gefundenen Benachrichtigungen in einer Tabelle und einer JSON-Ansicht als Aktionsausgabe zurück, zusammen mit Rohdaten zu Benachrichtigungen, die in der JSON-Datei der Aktionsausgabe gespeichert und angehängt sind.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Zeitraum	Ganzzahl	3	Nein	Geben Sie einen Zeitraum in Stunden an, für den Benachrichtigungen abgerufen werden sollen.
Status	String	Unknown, New, InProgress, Resolved	Nein	Geben Sie die Status der Meldungen an, nach denen gesucht werden soll. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Schweregrad	String	–	Nein	Geben Sie den Schweregrad der Vorfälle an, nach denen gesucht werden soll. Wenn keine angegeben ist, sucht die Aktion nach allen Schweregraden. Der Parameter akzeptiert mehrere Werte als kommagetrennten String. Mögliche Werte: UnSpecified, Informational, Low, Medium und High
Kategorie	String	–	Nein	Geben Sie die gesuchte Benachrichtigungskategorie an. Wenn keine angegeben ist, wird nach allen Kategorien gesucht. Der Parameter akzeptiert mehrere Werte als kommagetrennten String. Mögliche Werte: 'Collection', 'CommandAndControl', 'CredentialAccess', 'DefenseEvasion', 'Discovery', 'Execution', 'Exfiltration', 'Exploit', 'InitialAccess', 'LateralMovement', 'Malware', 'Persistence', 'PrivilegeEscalation', 'Ransomware', 'SuspiciousActivity', 'UnwantedSoftware'.
Vorfall-ID	Ganzzahl	–	Nein	Geben Sie die Microsoft Defender-Vorfalls-ID an, für die Sie zugehörige Benachrichtigungen finden möchten.

Anwendungsfälle

Die Aktion kann verwendet werden, um Defender ATP-Warnungen für einen Endnutzer auf dem Google SecOps-Server zu prüfen. Wenn der Nutzer beispielsweise die Warnung des Defender ATP-Connectors bearbeitet, konfiguriert er die Aktion „List Warnings“ so, dass die verarbeitete Warnung „IncidentId“ als Eingabeparameter akzeptiert wird, um Details vom Defender ATP-Server abzurufen. Es gibt noch weitere Warnungen, die Teil eines einzelnen Defender ATP-Vorfalls sind.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts",
    "value": [
        {
            "id": "example_id",
            "incidentId": 2,
            "investigationId": null,
            "assignedTo": null,
            "severity": "Medium",
            "status": "New",
            "classification": null,
            "determination": null,
            "investigationState": "UnsupportedAlertType",
            "detectionSource": "WindowsDefenderAtp",
            "category": "Execution",
            "threatFamilyName": null,
            "title": "Unexpected behavior observed by a process run with no command line arguments",
            "description": "The legitimate process by this name does not normally exhibit this behavior when run with no command line arguments. \nSuch unexpected behavior may be a result of extraneous code injected into a legitimate process, or a malicious executable masquerading as the legitimate one by name.",
            "alertCreationTime": "2019-11-19T03:56:35.3007009Z",
            "firstEventTime": "2019-11-19T03:54:16.0441057Z",
            "lastEventTime": "2019-11-19T03:54:16.0441057Z",
            "lastUpdateTime": "2019-11-19T03:56:38.45Z",
            "resolvedTime": null,
            "machineId": "machine-id",
            "alertUser": null,
            "comments": [],
            "alertFiles": [],
            "alertDomains": [],
            "alertIps": [],
            "alertProcesses": []
            }
    ]
}

Indikatoren auflisten

Indikatoren in Microsoft Defender for Endpoint auflisten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Indikatoren	CSV	–	Nein	Geben Sie eine durch Kommas getrennte Liste der Indikatoren an, die Sie abrufen möchten.
Arten von Indikatoren	CSV	FileSha1,FileSha256,FileMd5,CertificateThumbprint,IpAddress,DomainName, Url	Nein	Geben Sie eine durch Kommas getrennte Liste der Indikatortypen an, die Sie abrufen möchten. Mögliche Werte: FileSha1, FileSha256, FileMd5, CertificateThumbprint, IpAddress,DomainName, Url.
Aktionen	CSV	Warn,Block,Audit,Alert,AlertAndBlock,BlockAndRemediate,Allowed	Nein	Geben Sie eine durch Kommas getrennte Liste der Indikatoraktionen an, die Sie zum Filtern verwenden möchten. Mögliche Werte: Warn,Block,Audit,Alert, AlertAndBlock,BlockAndRemediate,Allowed
Schweregrad	CSV	Information,Niedrig,Mittel,Hoch	Nein	Geben Sie eine durch Kommas getrennte Liste der Schweregrade an, die Sie zum Filtern verwenden möchten. Mögliche Werte: „Informational“, „Low“, „Medium“, „High“
Maximale Anzahl zurückzugebender Ergebnisse	Ganzzahl	50	Nein	Geben Sie die Anzahl der zurückzugebenden Indikatoren an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "id": "18",
    "indicatorValue": "110e7d15b011d7fac48f2bd61114db1022197f7a",
    "indicatorType": "FileSha1",
    "action": "Audit",
    "createdBy": "45e9773c-100e-4a9f-ad37-d8e182e9ed26",
    "severity": "Informational",
    "category": 1,
    "application": "demo-test",
    "educateUrl": null,
    "bypassDurationHours": null,
    "title": "test",
    "description": "test",
    "recommendedActions": "nothing",
    "creationTimeDateTimeUtc": "2022-02-08T14:20:34.9071582Z",
    "expirationTime": null,
    "lastUpdateTime": "2022-02-08T14:20:34.9151307Z",
    "lastUpdatedBy": null,
    "rbacGroupNames": [],
    "rbacGroupIds": [],
    "notificationId": null,
    "notificationBody": null,
    "version": null,
    "mitreTechniques": [],
    "historicalDetection": false,
    "lookBackPeriod": null,
    "generateAlert": true,
    "additionalInfo": null,
    "createdByDisplayName": "Example Defender ATP",
    "externalId": null,
    "createdBySource": "PublicApi",
    "certificateInfo": null
}

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn Daten verfügbar sind (is_success=true): „In Microsoft Defender for Endpoint wurden Indikatoren für die angegebenen Kriterien gefunden.“ Wenn keine Daten verfügbar sind (is_success=false): „Für die angegebenen Kriterien wurden in Microsoft Defender for Endpoint keine Indikatoren gefunden.“ Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden: Wenn ein schwerwiegender Fehler wie falsche Anmeldedaten, keine Verbindung zum Server oder ein anderer Fehler gemeldet wird: „Fehler beim Ausführen der Aktion ‚Indikatoren auflisten‘. Reason: {0}''.format(error.Stacktrace) Wenn ein ungültiger Parameter „Indicator types“ angegeben wird: „Error executing action ‚List Indicators‘. Grund: Ungültiger Wert für den Parameter „Indikatortypen“. Mögliche Werte: FileSha1, FileSha256, FileMd5, CertificateThumbprint, IpAddress, DomainName, Url. Wenn ein ungültiger „Actions“-Parameter angegeben wird: „Error executing action „List Indicators“. Grund: ungültiger Wert für den Parameter „Aktionen“. Mögliche Werte: Warn, Block, Audit, Alert, AlertAndBlock, BlockAndRemediate, Allowed. Wenn ein ungültiger „Severity“-Parameter angegeben wird: „Error executing action ‚List Indicators‘. Grund: Ungültiger Wert für den Parameter „Aktionen“. Mögliche Werte: Informationell, Niedrig, Mittel, Hoch.	Allgemein
Tabelle mit Fall-Repository	Gefundene Indikatoren Typ: indicatorType Aktion: Aktion Schweregrad: severity Beschreibung: description Titel: title Empfehlung: recommendedActions	Entität

Maschinen auflisten

Informationen zu Computern abrufen, die beim Microsoft Defender for Endpoint-Server registriert sind, basierend auf den für die Suche angegebenen Parametern.

Hinweis: Bei dieser Aktion werden Daten aus einem Zeitraum von 30 Tagen und bis zu 3 MB zurückgegeben. Überschüssige Daten werden abgeschnitten. Die Ausgabe der Aktion wird in einer Tabellenansicht und einem JSON-Viewer angezeigt. Die Ausgabe wird auch im JSON-Format als Datei an die Fallpinnwand angehängt.

Parameter

Parameter	Typ	Standardwert	Ist obligatorisch	Beschreibung
Zeitraum der letzten Sichtung	Ganzzahl	–	Nein	Geben Sie den Zeitraum für die letzte Sichtung in Stunden an.
Name der Maschine	String	–	Nein	Geben Sie den vollständigen Computernamen an, nach dem gesucht werden soll.
IP-Adresse der Maschine	String	–	Nein	Geben Sie die IP-Adresse des Computers an, nach dem gesucht werden soll.
Risikobewertung für Maschinen	String	Keine, Niedrig, Mittel, Hoch	Nein	Geben Sie den gesuchten Maschinenrisiko-Score an. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Maschinenstatus	String	Active, Inactive, ImpairedCommunication, NoSensorData, NoSensorDataImpairedCommunication	Nein	Geben Sie den gesuchten Maschinenstatus an. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Betriebssystemplattform der Maschine	String	–	Nein	Geben Sie die Betriebssystemplattform der Maschine an, nach der gesucht werden soll.
RBAC-Gruppen-ID	String	–	Nein	Geben Sie die RBAC-Gruppen-ID an, nach der gesucht werden soll.

Anwendungsfälle

Die Aktion kann zu Prüfzwecken verwendet werden, um Informationen zu Geräten abzurufen, die auf dem Defender ATP-Server registriert sind. Diese Aktion wird meist als manuelle Aktion verwendet, damit der Nutzer nicht zur Defender ATP-Konsole zurückkehren und nachsehen muss, auf welchen Computern der Defender ATP-Agent ausgeführt wird.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Machines",
    "value": [
        {
            "id": "example-id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-18T11:13:04.0588699Z",
            "lastSeen": "2019-11-20T09:59:28.0646303Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.138",
            "lastExternalIpAddress": "203.0.113.35",
            "agentVersion": "10.4860.17134.982",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "High",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        },{
            "id": "example-id",
            "computerDnsName": "example-name",
            "firstSeen": "2019-11-20T08:36:16.2721384Z",
            "lastSeen": "2019-11-20T08:36:52.7182837Z",
            "osPlatform": "Windows10",
            "osVersion": null,
            "osProcessor": "x64",
            "version": "1803",
            "lastIpAddress": "192.0.2.141",
            "lastExternalIpAddress": "203.0.113.35",
            "agentVersion": "10.4850.17134.191",
            "osBuild": 17134,
            "healthStatus": "Active",
            "rbacGroupId": 0,
            "rbacGroupName": null,
            "riskScore": "None",
            "exposureLevel": "Medium",
            "aadDeviceId": null,
            "machineTags": []
        }
    ]
}

Ping

Testen Sie die Verbindung zur Microsoft Defender for Endpoint-Instanz mit den Parametern, die auf der Seite für die Integrationskonfiguration angegeben sind.

Parameter

–

Anwendungsfälle

Die Aktion wird verwendet, um die Verbindung zu testen, und kann als manuelle Aktion ausgeführt werden, die nicht Teil von Playbooks ist.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Abfrage für die erweiterte Suche ausführen

Führen Sie eine erweiterte Suchabfrage für Microsoft Defender for Endpoint aus. Anführungszeichen, Zeilenumbrüche oder andere Sonderzeichen müssen maskiert werden. Verwenden Sie beispielsweise den Backslash, um Anführungszeichen zu maskieren.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Abfrage	String	–	Ja	Erweiterte Suchabfrage, die ausgeführt werden soll.

Anwendungsfälle

Der Nutzer kann Hunting-Abfragen haben, mit denen er Daten abfragen möchte, die während der Verarbeitung einer bestimmten Defender-Warnung in Defender ATP erfasst wurden. Mit dieser Aktion kann der Nutzer diese erweiterten Hunting-Abfragen ausführen.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "Stats": {
        "ExecutionTime": 0.0156652,
        "resource_usage": {
            "cache": {
                "memory": {
                    "hits": 13,
                    "misses": 0,
                    "total": 13
                },
                "disk": {
                    "hits": 0,
                    "misses": 0,
                    "total": 0
                }
            },
            "cpu": {
                "user": "00:00:00.0156250",
                "kernel": "00:00:00",
                "total cpu": "00:00:00.0156250"
            },
            "memory": {
                "peak_per_node": 33554624
            }
        },
        "dataset_statistics": [
            {
                "table_row_count": 2,
                "table_size": 60
            }
        ]
    },
    "Schema": [
        {
            "Name": "EventTime",
            "Type": "DateTime"
        },
        {
            "Name": "FileName",
            "Type": "String"
        },
        {
            "Name": "InitiatingProcessFileName",
            "Type": "String"
        }
    ],
    "Results": [
        {
            "EventTime": "2019-11-18T11:13:07.043128Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe"
        },
        {
            "EventTime": "2019-11-19T03:54:14.4256361Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe"
        }
    ]
}

Warnung: Die JSON-Ergebnisse hängen von der Abfrage ab. Unterschiedliche Abfragen liefern unterschiedliche Ergebnisse. Daher kann kein Beispiel bereitgestellt werden, das für alle Abfragen gilt. Da das JSON-Beispiel nicht mit den tatsächlichen Ergebnissen übereinstimmen kann, müssen Sie die Platzhalter manuell entsprechend der Abfrage schreiben.

Antivirenscan ausführen

Starten Sie einen Antivirenscan auf einem Host mit Microsoft Defender for Endpoint. Es sind zwei Arten von Defender ATP-Scans verfügbar: „Vollständig“ oder „Schnell“.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Antiviren-Scantyp	DDL	Vollständig Mögliche Werte: Vollständig Schnell	Ja	Geben Sie an, ob auf dem Computer ein vollständiger oder ein schneller Antivirenscan gestartet werden soll.
Kommentar	String	–	Ja	Geben Sie einen Kommentar dazu an, warum ein Antivirenscan auf dem Computer ausgeführt werden muss.

Anwendungsfälle

Eine Warnung wurde vom Defender ATP-Connector ausgegeben. Während der Verarbeitung der Warnung wurden auf dem Computer, der mit der Google SecOps-Fallentität verknüpft ist, Hinweise auf Malware-Kompromittierungen gefunden. Daher hat der Nutzer beschlossen, einen Antivirenscan auf dem Computer auszuführen, um Malware auf dem Host zu finden.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Host
• IP-Adresse

Aktionsergebnisse

Scriptergebnis

„True“, wenn der API-Endpunkt für jede bereitgestellte Entität, für die er ausgeführt wurde, den Status 201 in der JSON-Antwort „status“: „Pending“ zurückgegeben hat. Das bedeutet, dass die API-Anfrage erfolgreich ausgeführt wurde. Wenn die Aktion für mindestens eine der Entitäten fehlschlägt, sollte das Endergebnis „Fehlgeschlagen“ (False) sein.

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "RunAntiVirusScan",
    "requestor": "requestor_id",
    "requestorComment": "Run antivirus scan on suspect",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T11:07:06.611628Z",
    "lastUpdateDateTimeUtc": "2019-11-21T11:07:06.611628Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}

Datei auf einem bestimmten Computer beenden und unter Quarantäne stellen

Ausführung einer Datei auf einem bestimmten Computer beenden und sie mit dem Microsoft Defender für Endpunkte-Agent in Quarantäne stellen. Die Aktion funktioniert entweder mit Host- oder IP-Google SecOps-Entitäten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
SHA1-Dateihash für Quarantäne	String	–	Ja	Geben Sie den SHA-1-Dateihash der Datei an, die gestoppt und unter Quarantäne gestellt werden soll. Hinweis:Der SHA-1-Hash muss in Kleinbuchstaben angegeben werden, damit die Aktion die entsprechende Datei findet.
Kommentar	String	–	Ja	Geben Sie einen Kommentar dazu an, warum ein Antivirenscan auf dem Computer ausgeführt werden muss.
Insight erstellen?	Kästchen	Aktiviert		Wenn diese Option aktiviert ist, wird bei erfolgreicher Ausführung eine Google SecOps-Statistik mit zugehörigen Informationen erstellt.

Anwendungsfälle

Während der Verarbeitung der Benachrichtigung, die vom Defender ATP-Connector stammt, kann die Aktion „Datei beenden und unter Quarantäne stellen“ verwendet werden, um die Ausführung der spezifischen Datei zu blockieren und so eine Kompromittierung des Computers zu verhindern. Die Notwendigkeit dieser Aktion kann sich aus der erweiterten Suche ergeben. Der Nutzer kann dabei potenziell schädliche Dateien entdecken, die er im Moment auf einem einzelnen Computer blockieren möchte.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Host
• IP-Adresse

Aktionsergebnisse

Scriptergebnis

Kann „True“ oder „False“ sein. „True“, wenn der API-Endpunkt für jede bereitgestellte Entität, auf der er ausgeführt wurde, den Status 201 in der JSON-Antwort „status“: „Pending“ zurückgegeben hat, was darauf hinweist, dass die API-Anfrage erfolgreich ausgeführt wurde. Wenn die Aktion für mindestens eine der Entitäten fehlschlägt, sollte das Endergebnis „Fehlgeschlagen“ (False) sein.

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "StopAndQuarantineFile",
    "requestor": "requestor-id",
    "requestorComment": "Stopping and quarantining putty",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-25T10:05:21.3641296Z",
    "lastUpdateDateTimeUtc": "2019-11-25T10:05:21.3641296Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": {
        "fileIdentifier": "d932604ab8e9debe475415851fd26929a0c0dcd1",
        "fileIdentifierType": "Sha1"
    }
}

Statistiken

• Typ: Entität.
• Titel (String): Entität.
• IdentifierMessage (String): „Datei mit SHA-1-Dateihash {0} wurde am {1} gestoppt und unter Quarantäne gestellt“. format (filehash,entity.Identifier).

Entitätsindikatoren einreichen

Entitäten als Indikatoren in Microsoft Defender for Endpoint einreichen.

Hinweis: Es werden nur die Hashes MD5, SHA-1 und SHA256 unterstützt.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Aktion	DDL	Blockieren Mögliche Werte: Blockieren Audit Blockieren und beheben Zulassen	Ja	Geben Sie die Aktion an, die auf die Entitäten angewendet werden soll. Hinweis: Der Wert „Blockieren und beheben“ wird nur für die Dateihash-Entitäten unterstützt.
Schweregrad	DDL	Hoch Mögliche Werte: Hoch Mittel Niedrig Informationell	Ja	Geben Sie den Schweregrad für die gefundenen Entitäten an.
Anwendung	String	–	Nein	Geben Sie eine Anwendung an, die mit den Entitäten zusammenhängt.
Titel der Benachrichtigung für Indikator	String	–	Ja	Geben Sie den Titel für die Benachrichtigung an, wenn sie in der Umgebung identifiziert werden.
Beschreibung	String	Google SecOps-Abhilfe	Ja	Geben Sie die Beschreibung für die Entitäten an.
Empfohlene Maßnahme	String	–	Nein	Geben Sie die empfohlenen Maßnahmen für den Umgang mit den Entitäten an.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• IP-Adresse
• URL
• Filehash

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

Fall-Repository

Ergebnistyp	Wert / Beschreibung	Typ
Ausgabenachricht*	Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen: Wenn Daten für eine Entität verfügbar sind (is_success = true): „Die folgenden Entitäten wurden erfolgreich als Indikatoren an Microsoft Defender for Endpoint gesendet: {entity.identifier}“. Wenn für eine Entität keine Daten verfügbar sind (is_success=true): „Die Aktion konnte die folgenden Entitäten nicht als Indikatoren an Microsoft Defender for Endpoint senden: {entity.identifier}“. Wenn der Statuscode 403 für eine Entität gemeldet wird: „Die Instanz hat nicht genügend Berechtigungen, um die folgenden Entitäten einzureichen: {entity.identifier} Wenn Daten nicht für alle Entitäten verfügbar sind (is_success=false): „Keine der bereitgestellten Entitäten wurde als Indikator an Microsoft Defender for Endpoint gesendet.“ Wenn eine Entität bereits ein Indikator ist: „Die folgenden Entitäten sind bereits Indikatoren in Microsoft Defender for Endpoint: {entity.identifier}“ Die Aktion sollte fehlschlagen und die Ausführung eines Playbooks beenden: Bei einem schwerwiegenden Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, sonstiges: „Fehler beim Ausführen der Aktion ‚Entitätsindikatoren senden‘. Reason: {0}''.format(error.Stacktrace) Wenn der Statuscode 403 für alle Entitäten gemeldet wird: „Fehler beim Ausführen der Aktion ‚Entitätsindikatoren einreichen‘. Grund: Aufgrund von Instanzberechtigungen wurde keiner der Indikatoren erstellt. Prüfen Sie die Konfiguration.''.	Allgemein

Maschine isolieren

Heben Sie die Isolierung einer Maschine auf, die zuvor mit Microsoft Defender for Endpoint isoliert wurde.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Kommentar	String	–	Ja	Geben Sie einen Kommentar dazu ein, warum die Maschine nicht mehr isoliert werden muss.
Insight erstellen?	Kästchen	Aktiviert		Wenn diese Option aktiviert ist, wird bei erfolgreicher Ausführung der Aktion ein Google SecOps-Insight mit zugehörigen Informationen erstellt.

Anwendungsfälle

Die Aktion kann in Situationen verwendet werden, in denen der Computer bereits isoliert wurde. Mit den neuen Daten, die während der Playbook-Verarbeitung erfasst wurden (z. B. wurde zuerst der Computer isoliert, dann haben wir einen Bedrohungsindikator für eine verdächtige Datei erstellt und die Aktion „Beenden und unter Quarantäne stellen“ ausgeführt, um diese Datei vom betroffenen Computer zu entfernen), können wir es als sicher erachten, den betroffenen Computer aus der Isolation zu entfernen.

Ausführen am

Diese Aktion wird für die folgenden Entitäten ausgeführt:

• Host
• IP-Adresse

Aktionsergebnisse

Scriptergebnis

„True“, wenn der API-Endpunkt für jede bereitgestellte Entität, für die er ausgeführt wurde, den Status 201 in der JSON-Antwort „status“: „Pending“ zurückgegeben hat. Das bedeutet, dass die API-Anfrage erfolgreich ausgeführt wurde. Wenn die Aktion für mindestens eine der Entitäten fehlschlägt, sollte das Endergebnis „Fehlgeschlagen“ (False) sein.

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#MachineActions/$entity",
    "id": "example-id",
    "type": "Unisolate",
    "requestor": "requestor-id",
    "requestorComment": "Unisolate machine due to the following remediation measures taken...",
    "status": "Pending",
    "machineId": "machine-id",
    "creationDateTimeUtc": "2019-11-21T03:59:34.7389352Z",
    "lastUpdateDateTimeUtc": "2019-11-21T03:59:34.7389352Z",
    "cancellationRequestor": null,
    "cancellationComment": null,
    "cancellationDateTimeUtc": null,
    "errorHResult": 0,
    "scope": null,
    "relatedFileInfo": null
}

Statistiken

• Typ: Entität
• Title:-Entität.
• IdentifierMessage: Die Microsoft Defender for Endpoint-Isolierung wurde entfernt.

Benachrichtigung ändern

Aktualisieren Sie eine bestimmte Microsoft Defender for Endpoint-Benachrichtigung. Mit der Aktion kann eine Benachrichtigung in Microsoft Defender for Endpoint geschlossen werden.

Parameter

Parameter	Typ	Standardwert	Ist obligatorisch	Beschreibung
Benachrichtigungs-ID	String	–	Ja	Geben Sie die zu aktualisierende Microsoft Defender for Endpoint-Benachrichtigungs-ID an.
Status	DDL	Neu Mögliche Werte: Neu InProgress Behoben	Nein	Geben Sie den Status der Benachrichtigung an, auf den aktualisiert werden soll.
Zugewiesen zu	String	–	Nein	Geben Sie die Nutzerinformationen an, wenn Sie dieses Feld aktualisieren möchten.
Klassifizierung	DDL	Unbekannt Mögliche Werte: Unbekannt FalsePositive TruePositive	Nein	Geben Sie die Klassifizierung an, mit der die Benachrichtigung aktualisiert werden soll.
Entschlossenheit	DDL	NotAvailable Mögliche Werte: NotAvailable Apt Malware SecurityPersonnel SecurityTesting UnwantedSoftware Sonstiges	Nein	Geben Sie die Entscheidung an, mit der die Benachrichtigung aktualisiert werden soll.

Anwendungsfälle

• Verwenden Sie die Aktion, um eine Defender ATP-Warnung zu aktualisieren.

• Verwenden Sie die Aktion, um in einen Workflow einzugreifen, der die Analyse von Defender ATP-Warnungen umfasst.

  Nachdem die Benachrichtigung in Google SecOps verarbeitet wurde, können Sie die Defender ATP-Benachrichtigung ignorieren, damit die Benachrichtigungslisten von Defender ATP und Google SecOps synchron bleiben. Sie können die Benachrichtigung auch so ändern, dass der Fortschritt der Benachrichtigungsanalyse angezeigt wird. Legen Sie dazu beispielsweise das Attribut assignedTo oder den Benachrichtigungsstatus auf inProgress fest.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

{
    "@odata.context": "https://api.securitycenter.windows.com/api/$metadata#Alerts/$entity",
    "id": "example-id",
    "incidentId": 1,
    "investigationId": null,
    "assignedTo": null,
    "severity": "Informational",
    "status": "Resolved",
    "classification": null,
    "determination": null,
    "investigationState": "UnsupportedAlertType",
    "detectionSource": "WindowsDefenderAtp",
    "category": "Execution",
    "threatFamilyName": null,
    "title": "[Test Alert] Suspicious Powershell commandline",
    "description": "*** This is a test alert ***\nA suspicious Powershell commandline was found on the machine. This commandline might be used during installation, exploration, or in some cases with lateral movement activities which are used by attackers to invoke modules, download external payloads, and get more information about the system. Attackers usually use Powershell to bypass security protection mechanisms by executing their payload in memory without touching the disk and leaving any trace.",
    "alertCreationTime": "2019-11-18T11:17:48.287421Z",
    "firstEventTime": "2019-11-18T11:15:06.5226815Z",
    "lastEventTime": "2019-11-18T11:15:06.5226815Z",
    "lastUpdateTime": "2019-11-20T04:12:03.6066667Z",
    "resolvedTime": "2019-11-20T04:12:03.4976288Z",
    "machineId": "machine-id",
    "alertUser": {
        "accountName": "Administrator",
        "domainName": "example-domain"
    },
    "comments": [],
    "alertFiles": [
        {
            "sha1": "3ce71813199abae99348f61f0caa34e2574f831c",
            "sha256": "9a7c58bd98d70631aa1473f7b57b426db367d72429a5455b433a05ee251f3236",
            "filePath": "C:\\Windows\\System32\\cmd.exe",
            "fileName": "cmd.exe"
        },
        {
            "sha1": "1b3b40fbc889fd4c645cc12c85d0805ac36ba254",
            "sha256": "d3f8fade829d2b7bd596c4504a6dae5c034e789b6a3defbe013bda7d14466677",
            "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "fileName": "powershell.exe"
        }
    ],
    "alertDomains": [],
    "alertIps": [],
    "alertProcesses": []
}

Auf Aufgabenstatus warten

Auf den Status einer Aufgabe warten.

Parameter

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Aufgaben-IDs	String	–	Ja	Liste der Aufgaben-IDs als kommagetrennter String.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis

Name des Skriptergebnisses	Wertoptionen	Beispiel
is_success	Wahr/falsch	is_success:False

JSON-Ergebnis

[
    {
        "status": "Succeeded",
        "creation_date_time_utc": "2020-02-08T03:24:52.8526634Z",
        "cancellation_requestor": null,
        "cancellation_date_time_utc": null,
        "id": "2e39d22e-60a7-4267-899c-a1471e800000",
        "last_update_date_time_utc": "2020-02-08T03:25:35.8345081Z",
        "related_file_info": null,
        "cancellation_comment": null,
        "requestor": "e4fc6454-754d-47f7-bbdb-045fad600000",
        "error_h_result": 0,
        "scope": "Selective",
        "machine_id": "fbc85cf3fbcc8bb14d1a84fcf7bbae4531f00000",
        "type": "Isolate",
        "requestor_comment": "test"
    }
]

Connectors

Eine detaillierte Anleitung zum Konfigurieren eines Connectors in Google SecOps finden Sie unter Connector konfigurieren.

Verwenden Sie zum Konfigurieren des ausgewählten Connectors die connectorspezifischen Parameter, die in den folgenden Tabellen aufgeführt sind:

• Konfigurationsparameter für Microsoft Defender ATP Connector
• Konfigurationsparameter für Microsoft Defender ATP Connector v2

Microsoft Defender ATP-Connector

Wichtig :Dieser Connector wird am 30. März 2027 vollständig eingestellt. Bis dahin ist der Support auf kritische Fehlerkorrekturen für Aufnahmeprobleme beschränkt. Es werden keine neuen Funktionsupdates bereitgestellt. Verwenden Sie stattdessen den Microsoft 365 Defender – Incidents Connector. Beachten Sie, dass für die Migration möglicherweise Änderungen an Ihren Playbooks erforderlich sind.

Die Defender ATP SIEM API, die im Microsoft Defender ATP-Connector für Ereignisse verwendet wird, wird seit dem 1. März 2022 nicht mehr unterstützt.

Der Connector stellt regelmäßig eine Verbindung zum Defender ATP-API-Endpunkt her und ruft eine Liste der Meldungen ab, die für einen bestimmten Zeitraum generiert wurden. Für die verarbeiteten Benachrichtigungen ruft der Connector in einer separaten Anfrage die Informationen zu den Erkennungen aus Defender ATP ab. Erkennungen haben ein AlertId-Feld, mit dem die Erkennungen mit bestimmten Benachrichtigungen verknüpft werden können.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	ProductName	Ja	Beschreibt den Namen des Felds, in dem der Produktname gespeichert ist.
Name des Ereignisfelds	String	AlertName	Ja	Beschreibt den Namen des Felds, in dem der Ereignisname gespeichert ist.
Name des Umgebungsfelds	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung „“.
Regex-Muster für Umgebung	String	.*	Nein	Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Umgebungsfeld mithilfe der Logik für reguläre Ausdrücke zu bearbeiten. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis „“.
API-Stamm	String	https://api.securitycenter.windows.com	Ja	API-Stamm-URL, die mit der Integration verwendet werden soll. Für eine bessere Leistung können Sie einen Server verwenden, der sich am nächsten an Ihrem Standort befindet: api-us.securitycenter.windows.com api-eu.securitycenter.windows.com api-uk.securitycenter.windows.com
Azure Active Directory-ID	String	–	Ja	Microsoft Entra-Mandanten-ID, die Sie unter „Active Directory“ > „App-Registrierung“ > „Ihre Anwendung“ > „Verzeichnis-ID (Mandant)“ finden.
Integrations-Client-ID	String	–	Ja	Client-ID (Anwendungs-ID), die für die App-Registrierung in Microsoft Entra für die Integration hinzugefügt wird.
Clientschlüssel der Integration	Passwort	–	Ja	Secret, das für die Azure AD-Anwendungsregistrierung für die Integration eingegeben wird.
SIEM-Client-ID	String	–	Ja	Client-ID (Anwendungs-ID) für die aktivierte SIEM-Integration in Microsoft Defender for Endpoint.
SIEM-Clientschlüssel	Passwort	–	Ja	Secret für die aktivierte SIEM-Integration in Microsoft Defender for Endpoint.
Zeitversatz in Stunden	Ganzzahl	24	Ja	Ruft Benachrichtigungen von X Stunden rückwärts ab.
Max. Anzahl an Benachrichtigungen pro Zyklus	Ganzzahl	100	Ja	Anzahl der Benachrichtigungen, die während einer Connector-Ausführung verarbeitet werden.
Abzurufende Benachrichtigungsstatus	String	Unknown, New, InProgress, Resolved	Ja	Geben Sie die Status der Defender ATP-Benachrichtigungen an, die vom Google SecOps-Server abgerufen werden sollen. Der Parameter kann mehrere Werte als kommagetrennten String annehmen.
Abzurufende Schweregrade von Benachrichtigungen	String	UnSpecified, Informational, Low, Medium, High	Ja	Geben Sie die Schweregrade der Defender ATP-Benachrichtigungen an, die vom Google SecOps-Server abgerufen werden sollen. Der Parameter kann mehrere Werte als kommagetrennten String annehmen.
Proxyserveradresse	IP_OR_HOST	–	Nein	Proxyserver, der für die Verbindung verwendet werden soll.
Nutzername für Proxyserver	String	–	Nein	Nutzername des Proxyservers.
Proxyserver-Passwort	Passwort	–	Nein	Passwort für den Proxyserver.

Connector-Regeln

• Der Connector unterstützt keine Sperrlisten- oder dynamischen Listenregeln.

• Der Connector unterstützt Proxys.

Microsoft Defender ATP Connector V2

Wichtig :Dieser Connector wird am 30. März 2027 vollständig eingestellt. Bis dahin ist der Support auf kritische Fehlerkorrekturen für Aufnahmeprobleme beschränkt. Es werden keine neuen Funktionsupdates bereitgestellt. Verwenden Sie stattdessen den Microsoft 365 Defender – Incidents Connector. Beachten Sie, dass für die Migration möglicherweise Änderungen an Ihren Playbooks erforderlich sind.

Rufen Sie die Defender ATP-Benachrichtigungen mithilfe der 365 Defender Incident API ab, um die Ereignisdaten zu erhalten. Verwenden Sie die dynamische Liste des Connectors, um nur bestimmte Arten von Benachrichtigungen basierend auf dem Attributwert detectionSource der Benachrichtigung aufzunehmen.

Mit dem Connector-Attribut SourceGroupIdentifier können Benachrichtigungen anhand der Defender ATP-Vorfalls-ID gruppiert werden.

Vorbereitung

Bevor Sie den Connector konfigurieren, müssen Sie Ihrer Microsoft Entra-Anwendung zusätzliche Berechtigungen gewähren:

1. Melden Sie sich im Azure-Portal als Nutzeradministrator oder Passwortadministrator an.

2. Wählen Sie Microsoft Entra ID aus.

3. Gehen Sie zu API-Berechtigungen > Berechtigung hinzufügen > APIs, die meine Organisation verwendet.

4. Wählen Sie Microsoft Threat Protection > Anwendungsberechtigungen aus.

5. Wählen Sie im Abschnitt Berechtigungen auswählen die folgenden erforderlichen Berechtigungen aus:

   • Incident.Read.All
   • Incident.ReadWrite.All

6. Klicken Sie auf Berechtigungen hinzufügen.

7. Klicken Sie auf Einwilligung des Administrators für YOUR_ORGANIZATION_NAME erteilen.

Connector-Parameter

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters	Typ	Standardwert	Ist obligatorisch	Beschreibung
Produktfeldname	String	::	Ja	Beschreibt den Namen des Felds, in dem der Produktname gespeichert ist.
Name des Ereignisfelds	String	EventName	Ja	Beschreibt den Namen des Felds, in dem der Ereignisname gespeichert ist.
Name des Umgebungsfelds	String	""	Nein	Beschreibt den Namen des Felds, in dem der Umgebungsname gespeichert ist. Wenn das Feld „environment“ nicht gefunden wird, ist die Umgebung „“.
Regex-Muster für Umgebung	String	.*	Nein	Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Der Standardwert ist .*, um alle Werte zu erfassen und unverändert zurückzugeben. Wird verwendet, um dem Nutzer die Möglichkeit zu geben, das Umgebungsfeld mithilfe der Logik für reguläre Ausdrücke zu bearbeiten. Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis „“.
Defender ATP API-Stamm	String	https://api.securitycenter.windows.com	Ja	API-Stamm-URL für die Integration Für eine bessere Leistung können Sie einen Server in der Nähe Ihres Standorts verwenden: api-us.securitycenter.windows.com api-eu.securitycenter.windows.com api-uk.securitycenter.windows.com
365 Defender API-Stamm	String	https://api.security.microsoft.com	Ja	API-Stamm der Microsoft 365 Defender-Instanz, die zum Abrufen der Google SecOps-Ereignisdaten verwendet wird.
Azure Active Directory-ID	String	–	Ja	Microsoft Entra-Mandanten-ID, die Sie unter „Microsoft Entra“ > „App-Registrierung“ > „Ihre Anwendung“ > „Verzeichnis-ID (Mandant)“ finden.
Integrations-Client-ID	String	–	Ja	Client-ID (Anwendungs-ID), die für die App-Registrierung in Microsoft Entra für die Integration hinzugefügt wird.
Clientschlüssel der Integration	Passwort	–	Ja	Secret, das für die Azure AD-Anwendungsregistrierung für die Integration eingegeben wird.
SSL überprüfen	Kästchen	Aktiviert	Ja	Wenn diese Option aktiviert ist, wird geprüft, ob das SSL-Zertifikat für die Verbindung zum Microsoft 365 Defender-Server gültig ist.
Zeitversatz in Stunden	Ganzzahl	24	Ja	Ruft Benachrichtigungen von X Stunden rückwärts ab.
Max. Anzahl an Benachrichtigungen pro Zyklus	Ganzzahl	10	Ja	Anzahl der Benachrichtigungen, die während einer Connector-Ausführung verarbeitet werden.
Abzurufende Benachrichtigungsstatus	String	Unknown, New, InProgress, Resolved	Ja	Geben Sie die Status der Defender ATP-Benachrichtigungen an, die vom Google SecOps-Server abgerufen werden sollen. Der Parameter kann mehrere Werte als kommagetrennten String annehmen.
Abzurufende Schweregrade von Benachrichtigungen	String	UnSpecified, Informational, Low, Medium, High	Ja	Geben Sie die Schweregrade der Defender ATP-Benachrichtigungen an, die vom Google SecOps-Server abgerufen werden sollen. Der Parameter kann mehrere Werte als kommagetrennten String annehmen.
Überlauf deaktivieren	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, ignoriert der Connector den Überlaufmechanismus.
Zeitlimit für Script	Ganzzahl	300	Ja	Geben Sie das Zeitlimit für die Ausführung des Connectors an.
Zulassungsliste als Sperrliste verwenden	Kästchen	Deaktiviert	Nein	Wenn diese Option aktiviert ist, wird die dynamische Liste als Sperrliste verwendet.
Proxyserveradresse	IP_OR_HOST	–	Nein	Proxyserver, der für die Verbindung verwendet werden soll.
Nutzername für Proxyserver	String	–	Nein	Nutzername des Proxyservers.
Proxyserver-Passwort	Passwort	–	Nein	Passwort für den Proxyserver.

Connector-Regeln

Der Connector unterstützt eine dynamische Listenlogik, die auf dem Wert des Defender ATP-Benachrichtigungsfelds detectionSource basiert.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten